Все находки● Открыта▲3 ВысокаяAIновоеF-12
Qdrant открыт: vec.acme.ai:6333 /collections
Векторная БД отдаёт список коллекций без ключа
После TXTбезопасные пробы ваших хостов после подтверждения домена
—не почасовой ущерб
VECYandex Cloud
16 минс обнаружения
Доказательство
- Запрос
- GET http://vec.acme.ai:6333/collections
- Ответ
- 200 OK · 4 коллекции: support_tickets, kb_articles, …
- Безопасность пробы
- содержимое и точки не запрашивались
Значения секретов не раскрываются и не хранятся — только тип, место, 4 последних символа и отпечаток SHA-256.
Почему опасно
- Из коллекции support_tickets можно выгрузить тексты обращений клиентов — это ПДн (152-ФЗ).
- Без ключа доступна и запись: можно «отравить» базу знаний бота.
Сколько стоит
эмбеддинги базы знаний и тикетов · ПДн — считается отдельной строкой, не в «₽/ч под риском».
Как починить
# config/production.yaml
service:
api_key: ${QDRANT_API_KEY}
host: 127.0.0.1
Соответствие
152-ФЗ ст. 19ISO 27001 A.8.3
Критичность: Высокая · категория: AI-инфраструктура